Vulnerabilidad en agentes de IA permite ejecución de código malicioso vía configuración Git
Manifold Security ha revelado ocho vulnerabilidades de seguridad críticas en siete agentes de codificación de IA que explotan la configuración de Git para ejecutar código arbitrario en las máquinas de los desarrolladores. Los productos afectados incluyen goose, Claude Code (Anthropic), Cursor, Hermes Agent, Qwen Code (Alibaba), Grok Build (xAI) y Codex (OpenAI). Las vulnerabilidades, denominadas colectivamente GitSpawn, permiten a repositorios maliciosos ejecutar comandos con los privilegios del usuario, fuera del sandbox del agente y sin solicitud de aprobación. OpenAI publicó CVE-2026-19592 para Codex, mientras GitHub asignó CVE-2026-72718 con puntuación CVSS 4.0 de 7.0 para goose.
La técnica de ataque explota el parámetro core.fsmonitor de Git, un ajuste de rendimiento cuyo valor es un comando que Git ejecuta para identificar archivos cambiados. Cuando los agentes de IA ejecutan git status o git diff para determinar la rama actual y los archivos modificados, también invocan este comando malicioso configurado en el archivo .git/config del repositorio. La explotación requiere que el repositorio llegue con su directorio .git intacto, preservado en archivos comprimidos compartidos, unidades sincronizadas o dispositivos USB, a diferencia de un clon ordinario que no incluye este directorio.
Correcciones completas han sido desplegadas para goose, Claude Code y Cursor, mientras que Hermes Agent, Qwen Code, Grok Build y una segunda vía de ataque en Claude Code seguían vulnerables al 1 de septiembre. Alibaba y xAI mantienen casos abiertos, mientras Nous Research no trió el reporte de Hermes Agent a pesar de seis intentos de contacto. El ataque fue documentado previamente en VS Code (CVE-2021-43891) y JetBrains IDEs (CVE-2022-24346), demostrando que esta clase de vulnerabilidad es un problema recurrente en herramientas de desarrollo.
La investigación subraya que la vulnerabilidad no reside en el modelo de IA sino en la "tubería ordinaria" subyacente: el subproceso que un agente genera al iniciar para determinar su entorno. Los investigadores enfatizan que se trata de abuso de una característica legítima de Git, no de un error, explotando la intersección entre la flexibilidad de Git y la automatización de los IDEs modernos. No se han reportado explotaciones activas, y ninguno de los CVE aparece en el catálogo KEV de CISA. Los usuarios de Codex CLI deben actualizar a la versión 0.152.1, ya que las instalaciones por debajo de 0.131.0 permanecen expuestas.